Flask默认不支持跨域Session，因SameSite和Secure限制导致Cookie被浏览器拦截；需同时配置SESSION_COOKIE_SAMESITE="None"、SESSION_COOKIE_SECURE=True、CORS(origins=["https://www.php.cn/link/b05edd78c294dcf6d960190bf5bde635"], supports_credentials=True)，且前端fetch必须设credentials="include"。
Flask 默认不支持跨域 Session，因为 SameSite 和 Cookie 属性限制
浏览器默认阻止跨域请求携带 Cookie，而 Flask 的 session 依赖 Set-Cookie 响应头和客户端自动回传。即使后端配置了 CORS，若没显式放开 credentials、没设置 SameSite=None 且 Secure=True，Session 就不会被发送或接收。
常见现象：session.get("user_id") 在前端发 fetch 跨域请求时始终为 None，但同域下正常；控制台报错 Failed to load resource: Credential is not supported if the CORS header 'Access-Control-Allow-Origin' is '*' 。
- 必须将
Access-Control-Allow-Origin设为具体域名（不能是*），否则浏览器拒绝带凭证的响应 -
SESSION_COOKIE_SAMESITE必须设为"None"，否则现代浏览器（Chrome 80+）默认拦截跨站 Cookie -
SESSION_COOKIE_SECURE必须为True——SameSite=None强制要求 Cookie 标记为Secure，即只走 HTTPS - 前端
fetch或axios请求必须带credentials: "include"
Flask 后端需手动配置 Session 和 CORS 头
用 flask-cors 本身不自动处理 Session Cookie 的跨域策略，它只管响应头；真正起作用的是 Flask 内置的 session 配置项。漏掉任一关键项，Session 就断连。
示例最小可行配置：
立即学习“Python免费学习笔记（深入）”；
from flask import Flask, session, jsonify, request from flask_cors import CORS <p>app = Flask(<strong>name</strong>) app.secret_key = "your-secret-key-here" # 必须设置，否则 session 不工作</p><h1>关键：显式配置 session cookie 行为</h1><p>app.config.update( SESSION_COOKIE_SAMESITE="None", SESSION_COOKIE_SECURE=True, SESSION_COOKIE_HTTPONLY=True, SESSION_COOKIE_PATH="/", )</p><h1>关键：CORS 必须指定 origin，不能用 "*"</h1><p>CORS(app, origins=["<a href="https://www.php.cn/link/b05edd78c294dcf6d960190bf5bde635">https://www.php.cn/link/b05edd78c294dcf6d960190bf5bde635</a>"], supports_credentials=True)
注意：supports_credentials=True 是 flask-cors 的开关，但它不会覆盖 SESSION_COOKIE_SAMESITE 等底层设置 —— 这两个层面必须同时对齐。
前端 fetch 必须显式声明 credentials
即使后端全配对，前端不带 credentials，浏览器根本不会发 Cookie，session 自然为空。
- 错误写法：
fetch("/api/login", { method: "POST" })—— 默认credentials: "omit" - 正确写法：
fetch("https://api.example.com/login", { method: "POST", credentials: "include" }) - 如果用
axios，要加withCredentials: true - 确保请求 URL 协议、域名、端口与后端允许的
origins完全一致（包括https://）
另一个易忽略点：开发时若前端跑在 http://localhost:3000，而后端是 https://api.example.com，则 localhost 不在 origins 列表里，CORS 直接失败 —— 开发阶段建议临时加 "http://localhost:3000" 到 origins，但上线前务必删掉或换为正式域名。
跨子域场景下需额外设置 SESSION_COOKIE_DOMAIN
如果前端是 app.example.com，后端 API 是 api.example.com，属于同主域不同子域，此时需让 Cookie 被两个子域共享。
- 设置
SESSION_COOKIE_DOMAIN=".example.com"（注意开头的点） - 仍需保持
SESSION_COOKIE_SAMESITE="None"和SESSION_COOKIE_SECURE=True CORS(app, origins=["https://app.example.com"], supports_credentials=True)
注意：.example.com 会让 Cookie 同时发送给 www.example.com、api.example.com 等所有子域，有安全风险；如只需限定两三个子域，更稳妥的做法是用后端反向代理统一域，而非依赖跨子域 Cookie。
最常卡住的地方不是代码写错，而是浏览器策略更新后对 SameSite 和 Secure 的强制联动 —— 即使本地开发用 HTTP，也得配 SESSION_COOKIE_SECURE=False，但这时 SameSite=None 就不被允许。所以开发调试务必用 HTTPS（如 ngrok 或 mkcert），否则跨域 Session 根本走不通。
